AWS VPC上的前缀列表是什么
前缀列表是以CIDR格式分配给区域中的VPC网关端点（S3或DynamoDB）的IP范围。它是区域特定的。
例如，截至2020年2月24日，us-east-2地区DynamoDB的前缀列表为“52.94.4.0/24”，其中52.94.4 是IP前缀，网络前缀为/24，由@John Hanley解释。 DynamoDB的VPC网关端点可以使用的IP地址在52.94.4.1-52.94.4.254之间（AWS可能保留了一些IP地址）。
$ aws ec2 describe-prefix-lists
{
"PrefixLists": [
{
"Cidrs": [
"52.94.4.0/24"
],
"PrefixListId": "pl-4ca54025",
"PrefixListName": "com.amazonaws.us-east-2.dynamodb"
},
{
"Cidrs": [
"52.219.80.0/20",
"3.5.128.0/22",
"3.5.132.0/23",
"52.219.96.0/20",
"52.92.76.0/22"
],
"PrefixListId": "pl-7ba54012",
"PrefixListName": "com.amazonaws.us-east-2.s3"
}
]
}
这些前缀列表都有一个ID和名称。我们可以在VPC路由表和安全组中指定前缀列表ID，但不能在NACL中使用。我们需要使用CIDR来代替。
- 网关 VPC 端点
您不能在网络 ACL 的出站规则中使用前缀列表 ID 来允许或拒绝对端点中指定的服务的出站流量。如果您的网络 ACL 规则限制了流量，则必须指定该服务的 CIDR 块（IP 地址范围）。但是，您可以在出站安全组规则中使用前缀列表 ID。有关更多信息，请参阅安全组。
Terraform 示例
NACL
resource "aws_vpc_endpoint" "private_s3" {
vpc_id = "${aws_vpc.foo.id}"
service_name = "com.amazonaws.us-west-2.s3"
}
data "aws_prefix_list" "private_s3" {
prefix_list_id = "${aws_vpc_endpoint.private_s3.prefix_list_id}"
}
resource "aws_network_acl" "bar" {
vpc_id = "${aws_vpc.foo.id}"
}
resource "aws_network_acl_rule" "private_s3" {
network_acl_id = "${aws_network_acl.bar.id}"
rule_number = 200
egress = false
protocol = "tcp"
rule_action = "allow"
cidr_block = "${data.aws_prefix_list.private_s3.cidr_blocks[0]}"
from_port = 443
to_port = 443
}
安全组由@LeOn - Han Li在他的答案中提供。
resource "aws_security_group_rule" "MyService_to_DynamoDB_east" {
count = "${ lower(var.region) == "us-east-1" ? 1 : 0 }"
security_group_id = "${aws_security_group.MyService_Ext_Api.id}"
description = "DynamoDB"
type = "egress"
protocol = "tcp"
from_port = 443
to_port = 443
prefix_list_ids = ["pl-02ad2a6c"]
}
resource "aws_security_group_rule" "MyService_to_DynamoDB_west" {
count = "${ lower(var.region) == "us-west-2" ? 1 : 0 }"
security_group_id = "${aws_security_group.MyService_Ext_Api.id}"
description = "DynamoDB"
type = "egress"
protocol = "tcp"
from_port = 443
to_port = 443
prefix_list_ids = ["pl-0ca54061"]
}
访问控制
为什么我无法使用网关VPC端点连接到S3存储桶？提供了有关S3 VPC网关端点的全面列表，其中前缀列表ID和CIDR将发挥作用。
- VPC中的DNS设置
重要提示：必须在您的VPC中启用DNS解析（请参阅网关端点限制）。如果您正在使用自己的DNS服务器，请确保向AWS服务的DNS请求解析为由AWS维护的IP地址。
- 到Amazon S3的路由表设置
- 安全组出站规则
- 网络ACL规则
- 网关VPC端点策略
- S3存储桶策略
- IAM策略
参考资料
- 网关 VPC 终端节点
指定要创建终端节点的 VPC，以及要连接到的服务。服务由前缀列表标识—区域中服务的名称和 ID。前缀列表 ID 使用 pl-xxxxxxx 的格式，前缀列表名称使用 "com.amazonaws.region.service" 的格式。使用前缀列表名称（服务名称）创建终端节点。
